Raport specjalny Horyzonty Bankowości 2018: Czy aby zdążymy?

Bohdan Szafrański

Wysoki poziom zabezpieczeń przechowywanych informacji, który wypracował sektor finansowy, a zwłaszcza banki, pozwala sądzić, że niebezpieczeństwo wycieku danych osobowych jest niewielkie. Jednak w tym roku wchodzą w życie przepisy związane z dyrektywą PSD2. Otwarta bankowość i dostęp tzw. stron trzecich (TPP) do danych klientów niesie ze sobą dodatkowe ryzyka. W styczniu br. UKNF wydał komunikat o wybranych oczekiwaniach nadzorczych dotyczących okresu przejściowego związanego z implementacją wspomnianej dyrektywy. Powinna ona zostać zaimplementowana do polskiego porządku prawnego do 13 stycznia 2018 r., ale prace jeszcze trwają. Projekt trafił do Sejmu dopiero 23 stycznia, 6 lutego odbyło się pierwsze czytanie, po czym został on skierowany do Komisji Finansów Publicznych. Przewiduje się, że znowelizowana ustawa wejdzie w życie w II kw. 2018 r., czyli w tym samym czasie, w jakim ma zacząć obowiązywać RODO.

W komunikacie UKNF zwrócono uwagę, że na poziomie organów UE trwają nadal prace przy dokumencie uzupełniającym wymogi PSD2 o regulacyjne standardy techniczne (RTS). Powinny one zostać opublikowane w marcu 2018 r., bo mają zacząć być stosowane we wrześniu 2019 r. UKNF zgadza się z opinią EBA w sprawie okresu przejściowego, że wcześniejsze spełnienie wymogów RTS pozwoliłoby zapewnić zgodność z przepisami PSD2, np. w zakresie obowiązku TPP odnośnie wykorzystywania tylko tych danych i informacji, które są niezbędne do wykonania usługi zgodnie z dyspozycją użytkownika. Co jednak ważniejsze, również z punktu widzenia ochrony danych osobowych, wdrożenie wymogów bezpieczeństwa zawartych w PSD2 i RTS ułatwiłoby dostawcom usług płatniczych zapewnienie zgodności ich działania z przepisami dyrektywy RODO, np. w zakresie wymogów bezpieczeństwa określonych w art. 32. Dlatego UKNF oczekuje posiadania przez dostawców prowadzących rachunek dedykowanego interfejsu (API) komunikacji z TPP, spełniającego wymogi przewidziane w RTS, w możliwie najkrótszym terminie. Miejmy nadzieję, że standard tzw. Polish API zostanie szybko przygotowany.

Kiedy poznamy szczegółowe regulacje?

Jak podało Ministerstwo Cyfryzacji, zakończono konsultacje społeczne i opiniowanie, odbyła się także konferencja uzgodnieniowa. W ramach konsultacji opinie do ustawy zgłosiło łącznie ponad 110 organizacji i obywateli, przedstawiając ponad 700 stron uwag. Projekt 9 lutego został skierowany do dalszych prac w Komitecie do Spraw Europejskich Rady Ministrów. Zaplanowane na 21 lutego br. posiedzenie Komitetu przełożono na koniec miesiąca, ze względu na liczbę i charakter zgłoszonych do projektu uwag. Czy kolejne możliwe opóźnienia nie utrudnią dotrzymania terminu wejścia w życie ustawy (rząd planuje przekazanie projektu ustawy do parlamentu w kwietniu)?

Warto mieć na uwadze, że projekt zawiera również propozycje zmian w ponad 40 ustawach sektorowych. To złożony materiał prawny. W obecnej wersji projektu wiele kontrowersji ...